[發(fā)明專利]一種基于遷移學(xué)習(xí)的電力終端異常數(shù)據(jù)生成方法

有效

• 申請?zhí)枺?/td>: 202010650550.3
• 申請日: 2020-07-08
• 公開（公告）號: CN111865947B
• 公開（公告）日: 2021-07-20
• 發(fā)明（設(shè)計）人: 徐文淵;厲彥杰;姜棟瀟;周宏偉;蘇闊;李成鋼;張力;郭琪;裴文洋;劉超;徐峰;冀曉宇
• 申請（專利權(quán)）人: 浙江大學(xué);國網(wǎng)吉林省電力有限公司電力科學(xué)研究院;國網(wǎng)吉林省電力有限公司;吉林省電力科學(xué)研究院有限公司;國家電網(wǎng)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06K9/62;G06N3/04;G06N3/08;G06Q50/06
• 代理公司: 杭州求是專利事務(wù)所有限公司 33200
• 代理人: 鄭海峰

1.一種基于遷移學(xué)習(xí)的電力終端異常數(shù)據(jù)生成方法，其特征在于，包括以下步驟：

步驟1：采集電力終端的正常報文樣本、以及相同協(xié)議的非電力終端的正常報文樣本和攻擊報文樣本；對報文樣本進(jìn)行預(yù)處理，得到預(yù)處理后的訓(xùn)練樣本集；所述預(yù)處理后的訓(xùn)練樣本集中每一條報文樣本均包括TCP協(xié)議內(nèi)容和工控協(xié)議內(nèi)容；

步驟2：根據(jù)每一條報文樣本的TCP協(xié)議內(nèi)容和工控協(xié)議內(nèi)容構(gòu)造鍵值對，每一個鍵值對由一個輸入值和輸出值構(gòu)成，根據(jù)嵌入向量表得到每一條報文樣本的嵌入向量表示；所述的步驟2具體為：

步驟2.1：根據(jù)每一條報文樣本的TCP協(xié)議內(nèi)容和工控協(xié)議內(nèi)容構(gòu)造L個鍵值對，每一個鍵值對由一個輸入值和輸出值構(gòu)成，所述的輸入值和輸出值包括源IP地址、目的IP地址、源端口號、目的端口號、字節(jié)數(shù)、包數(shù)、連接持續(xù)時間；

步驟2.2：將預(yù)處理后的訓(xùn)練樣本集中每一條報文樣本對應(yīng)的鍵值對作為word2vec模型的訓(xùn)練樣本進(jìn)行訓(xùn)練，得到每一個鍵值的嵌入向量，構(gòu)成嵌入向量表；

步驟2.3：根據(jù)嵌入向量表得到每一條報文樣本的嵌入向量表示X_i＝{x_i1,x_i2,…,x_iN},x_ij∈R^k，N表示每一條報文樣本包含N個鍵值，k為x_ij的維度；

步驟3：構(gòu)建由編碼器、第一解碼器和第二解碼器組成的多解碼器Seq2Seq神經(jīng)網(wǎng)絡(luò)，將每一條報文樣本的嵌入向量表示X_i作為編碼器的輸入，獲得編碼后的特征向量Z_i∈R^h，h表示特征向量Z_i的維度；再將特征向量Z_i分別作為兩個解碼器的輸入；

步驟4：對步驟3構(gòu)建的多解碼器Seq2Seq神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練；所述的步驟4具體為：

步驟4.1：訓(xùn)練編碼器：

采用生成式對抗網(wǎng)絡(luò)對編碼器進(jìn)行訓(xùn)練，所述的生成式對抗網(wǎng)絡(luò)由待訓(xùn)練的編碼器和一個分類器構(gòu)成；所述分類器的輸入是不同設(shè)備的報文樣本對應(yīng)的特征向量Z_i，分類器的輸出為設(shè)備的分類結(jié)果，訓(xùn)練目標(biāo)為最大化分類器的分類損失；步驟4.2：訓(xùn)練解碼器：

首先對第一解碼器進(jìn)行訓(xùn)練：將預(yù)處理后的訓(xùn)練樣本集中電力終端的正常報文樣本作為第一訓(xùn)練樣本，將第一訓(xùn)練樣本的嵌入向量作為編碼器的輸入，將編碼器的輸出作為第一解碼器的輸入進(jìn)行訓(xùn)練，得到訓(xùn)練好的第一解碼器；

再對第二解碼器進(jìn)行訓(xùn)練：將預(yù)處理后的訓(xùn)練樣本集中非電力終端的正常報文樣本和攻擊報文樣本作為第二訓(xùn)練樣本，將第二訓(xùn)練樣本的嵌入向量作為編碼器的輸入，將編碼器的輸出作為第二解碼器的輸入進(jìn)行訓(xùn)練，得到訓(xùn)練好的第二解碼器；

步驟5：將報文樣本的嵌入向量表示X_i作為訓(xùn)練好的多解碼器Seq2Seq神經(jīng)網(wǎng)絡(luò)的輸入，若報文樣本來自于電力終端，則第一解碼器開啟，第二解碼器關(guān)閉，由第一解碼器輸出預(yù)測報文向量；若報文樣本來自于非電力終端，則第二解碼器開啟，第一解碼器關(guān)閉，由第二解碼器輸出預(yù)測報文向量；最后通過步驟2所述的嵌入向量表將所述的預(yù)測報文向量轉(zhuǎn)化為預(yù)測報文，完成電力終端異常數(shù)據(jù)的生成。

2.根據(jù)權(quán)利要求1所述的一種基于遷移學(xué)習(xí)的電力終端異常數(shù)據(jù)生成方法，其特征在于，所述的步驟1具體為：

步驟1.1：采集電力終端的歷史流量數(shù)據(jù)作為報文樣本，包括P個正常報文樣本和N個來自相同協(xié)議的攻擊報文樣本；

步驟1.2：對報文樣本進(jìn)行預(yù)處理，首先提取每一條報文中的TCP協(xié)議內(nèi)容和工控協(xié)議內(nèi)容，采用分箱法對協(xié)議內(nèi)容進(jìn)行去噪處理，通過臨近值的均值替代噪聲值，構(gòu)成原始訓(xùn)練樣本集D；

步驟1.3：判斷正常報文樣本和攻擊報文樣本的數(shù)量，若N＜P/10，則通過過采樣處理，隨機(jī)復(fù)制攻擊報文樣本來增加攻擊報文樣本的數(shù)量，否則不進(jìn)行處理，得到完成預(yù)處理后的訓(xùn)練樣本集D′，訓(xùn)練樣本集D′中的樣本數(shù)量為

3.根據(jù)權(quán)利要求1所述的一種基于遷移學(xué)習(xí)的電力終端異常數(shù)據(jù)生成方法，其特征在于，所述的工控協(xié)議內(nèi)容數(shù)據(jù)為IEC 60870-5-104協(xié)議內(nèi)容。